Incidentrespons bij ransomware: een praktische gids voor beginners

Escaleer en zorg voor een gedeeld beeld

Gebruik het goedgekeurde incidentkanaal en stel vast wie de respons coördineert. Leg de aanleiding, de getroffen dienst, het tijdstip van waarneming en de bron van de melding vast. Eén versleuteld bestand, losgeldbericht of beveiligingsalert kan een dringend onderzoek rechtvaardigen zonder dat de volledige scope daarmee vaststaat.

Stuur geen gevoelige incidentdetails via een systeem dat mogelijk gecompromitteerd is. Gebruik het vertrouwde communicatieplan van de organisatie. Neem niet op eigen houtje contact op met een aanvaller en doe geen commerciële, juridische of herstelgerelateerde toezeggingen buiten je bevoegdheid.

Sluit in met oog voor de operationele context

Het doel van insluiting is verdere schade te beperken en tegelijk een werkbare respons te behouden. Gekwalificeerde responders kunnen binnen het incidentproces getroffen systemen isoleren of specifieke toegangspaden beperken. Houd rekening met afhankelijkheden: een kritieke dienst of gedeeld netwerkpad afsluiten kan gevolgen hebben die verder reiken dan het zichtbare endpoint.

Als isolatie niet lukt en destructieve activiteit doorgaat, moet de responder de directe schade afwegen tegen het verlies van vluchtig bewijs. Dit is een contextafhankelijke responsbeslissing, geen algemene instructie om elke machine uit te zetten. Leg de keuze, de bevoegdheid en de reden vast.

• Herhaal de fasen en prioriteiten van respons
• Begrijp de grenzen van insluiting

Stel bewijs veilig voordat het verdwijnt

Bewaar relevante logs, alertgegevens, tijdstempels en systeemwaarnemingen via goedgekeurde procedures voor bewijsbehandeling. Bewaar originelen, noteer hoe je ze hebt verzameld en beperk de toegang. Vermijd opschonen of herstellen waardoor het enige bewijs van het toegangspad verdwijnt voordat responders het hebben beoordeeld.

Bouw een werkende tijdlijn op die het tijdstip van een event onderscheidt van het tijdstip van ontdekking. “De fileshare werd om 10:20 onbereikbaar” zegt niet wanneer de inbraak begon. Maak onzekerheid zichtbaar, zodat latere analyse de tijdlijn kan verfijnen zonder ononderbouwde beweringen te hoeven herschrijven.

• Leg vast welke systemen en accounts nu binnen de scope vallen.
• Bewaar de tijdzone en de bron van elk belangrijk event.
• Documenteer responsacties en wie ze heeft uitgevoerd.
• Bewaar bewijs op een goedgekeurde locatie met gecontroleerde toegang.

Verwar versleuteling niet met bewijs over exfiltratie

Een versleutelingsevent zegt niet of er ook gegevens zijn meegenomen. Het ontbreken van een zichtbare overdracht in een kleine steekproef van logs is geen bewijs dat er geen overdracht heeft plaatsgevonden. Geef aan welk bewijs beschikbaar is en welke periodes, diensten of accounts nog moeten worden beoordeeld.

In een fictief scenario slaagt een back-uptaak om 02:00 en wordt om 08:30 versleuteling gemeld. Die twee feiten bewijzen niet dat de back-up schoon is, dat de aanvaller na 02:00 binnenkwam of dat het incident beperkt is tot de versleutelde server. Je responsnotitie moet alle drie de aannames vermijden.

Herstel naar een gevalideerde omgeving

Bepaal samen met de eigenaar van de dienst en de responsleider de prioriteiten voor herstel. Stel vast dat de gekozen herstelgegevens geschikt zijn, dat de omgeving onder controle is en dat het onderzochte toegangspad het probleem niet gewoon opnieuw introduceert. Test het herstelproces en de bedrijfsfunctie voordat je systemen breed opnieuw aansluit.

Een geslaagde hersteltaak is één waarneming, niet het volledige herstelresultaat. Controleer de applicatie, de benodigde identiteits- en netwerkafhankelijkheden, de monitoring en het vermogen om hernieuwde verdachte activiteit te detecteren. Houd het responsteam betrokken terwijl de dienst wordt hersteld.

• Herhaal het ontwerp van back-up en herstel
• Controleer je redenering over herstel

Communiceer in feiten, beslissingen en volgende updates

Een beknopte update voor het management beschrijft de impact op de dienstverlening, wat bekend is, wat wordt ingesloten, de belangrijke onzekerheden en wanneer de volgende update volgt. Scheid een werkschatting van een toegezegde hersteltijd. Zeg niet “alles is veilig” zolang het onderzoek niet is afgerond.

Oefen met deze structuur: waargenomen impact; huidige scope; genomen acties; open vragen; benodigde beslissing; volgende update. Het uitgebrachte Pro-lab over ransomware biedt een synthetisch scenario en uitgewerkte beoordelingen, zodat je je prioriteiten kunt vergelijken zonder malware te hanteren of een echt systeem te wijzigen.

• Verken het lab voor de eerste respons op ransomware